CVE-2026-90529: XSS в DataEase через Symbolic Map

В системе бизнес-аналитики DataEase выявлена уязвимость, позволяющая проводить атаки типа cross site scripting (XSS). Проблема затрагивает функциональность визуализации карт и может быть использована злоумышленником удалённо.

Подробности

Уязвимость CVE-2026-90529 затрагивает DataEase версий до 2.10.25/2.10.26 включительно. Проблема локализована в функции buildTooltip файла core/core-frontend/src/views/chart/components/js/panel/charts/map/symbolic-map.ts, относящегося к компоненту Symbolic Map. Причиной уязвимости является недостаточная очистка (санитизация) входных данных. При манипуляции аргументом canvasViewInfo[*].customAttr.tooltip.backgroundColor злоумышленник может внедрить произвольный скрипт, который будет выполнен в браузере жертвы при отображении всплывающей подсказки на карте. Это классический сценарий XSS (CWE-79). Согласно вектору CVSS, уязвимость имеет оценку 5.1 (MEDIUM). Атака может быть выполнена удалённо, что повышает уровень риска, поскольку не требует физического доступа к системе. Успешная эксплуатация позволяет выполнить произвольный JavaScript-код в контексте сессии пользователя, что может привести к краже учётных данных, токенов аутентификации или выполнению действий от имени жертвы. Важно отметить: проект был уведомлён о проблеме через issue-репорт, однако на момент публикации CVE реакция со стороны мейнтейнеров DataEase отсутствовала. Это означает, что официальный патч может быть ещё не выпущен.

Что делать

Поскольку производитель пока не отреагировал на сообщение об уязвимости, рекомендуется принять следующие меры: 1. Отслеживать официальные релизы DataEase и обновить продукт до версии, содержащей исправление, как только оно станет доступно. Проверяйте репозиторий проекта и страницу релизов. 2. Ограничить сетевой доступ к экземплярам DataEase — не выставляйте систему в открытый интернет без необходимости, используйте VPN или reverse proxy с аутентификацией. 3. Применять принцип наименьших привилегий: не предоставляйте пользователям права на редактирование/создание карт с произвольными настройками, если в этом нет необходимости. 4. Настроить Content Security Policy (CSP) на уровне веб-сервера или приложения — это поможет снизить риск выполнения внедрённых скриптов. 5. Рассмотреть возможность использования WAF с правилами фильтрации XSS-векторов в качестве временной компенсирующей меры. 6. Провести аудит пользовательских дашбордов и карт на предмет подозрительных конфигураций tooltip. Следует учитывать, что эксплуатация требует, чтобы злоумышленник мог влиять на настройки карты (например, через сохранённый дашборд или общий доступ). Тем не менее, в многопользовательских средах риск остаётся значимым.

Итог

CVE-2026-90529 — это уязвимость XSS средней критичности в DataEase, затрагивающая компонент Symbolic Map. Официального патча на текущий момент нет, поэтому ключевые меры защиты — ограничение доступа к системе, настройка CSP и мониторинг обновлений от разработчика. Организациям, использующим DataEase в публичных или многопользовательских сценариях, следует отнестись к проблеме с повышенным вниманием.

Источник: CVE Project (cvelistV5)